Veri İşleme Sözleşmesi

1. Konu ve süre

• Zabiris, Veri Sorumlusunun kişisel verilerini yalnızca Hizmet Sözleşmesi kapsamındaki hizmeti sunmak için, Veri Sorumlusu adına ve onun talimatlarıyla işler.
• Bu sözleşme, Hizmet Sözleşmesi süresince ve sona ermesinden sonra verilerin iade/silinmesi tamamlanana kadar yürürlükte kalır.

2. İşlenen veriler ve ilgili kişiler

Özel nitelikli kişisel veri işlenmesi hizmetin amacı değildir. Veri Sorumlusu, serbest metin alanlarına özel nitelikli veri girmemeyi; girmesi zorunluysa hukuki dayanağını sağlamayı kabul eder.

3. Veri Sorumlusunun yükümlülükleri

• Verileri hukuka uygun şekilde elde etmek; ilgili kişileri (veliler, sipariş veren müşteriler, çalışanlar) KVKK m.10 uyarınca aydınlatmak ve gerekiyorsa açık rızalarını almak. Zabiris Kids kullanan işletmeler için hazır veli bilgilendirme metni Kids › Ayarlar › KVKK bölümünde sunulur.
• Hizmete yalnızca amaç için gerekli verileri girmek; verilerin doğruluğunu sağlamak.
• İlgili kişilerin başvurularını yanıtlamak; VERBİS kaydı gibi kendi yükümlülüklerini yerine getirmek.
• Kullanıcı hesaplarını ve şifrelerini korumak, işten ayrılan çalışanların erişimini kapatmak.

4. Zabiris'in (Veri İşleyen) yükümlülükleri

• Talimatla işleme: Verileri yalnızca hizmeti sunmak ve Veri Sorumlusunun panelden veya yazılı olarak verdiği talimatlar doğrultusunda işler; kendi amaçları için kullanmaz, satmaz, pazarlama için kullanmaz, farklı işletmelerin verilerini birleştirmez, yapay zekâ modeli eğitiminde kullanmaz. Bir talimatın mevzuata aykırı olduğunu düşünürse Veri Sorumlusunu bilgilendirir.
• Gizlilik: Verilere erişen kişilerin gizlilik yükümlülüğü altında olmasını ve yalnızca görevleri gerektirdiği ölçüde erişmesini sağlar. Destek amacıyla panele erişim yalnızca Veri Sorumlusunun talebi veya onayıyla yapılır ve kayıt altına alınır.
• Güvenlik: KVKK m.12 kapsamında madde 5'teki teknik ve idari tedbirleri alır ve güncel tutar.
• Başvurularda yardım: Kendisine doğrudan gelen ilgili kişi başvurularını yanıtlamadan, gecikmeksizin Veri Sorumlusuna iletir; Veri Sorumlusunun başvuruları yanıtlayabilmesi için gerekli araçları sunar (ör. Kids'te veli verisinin telefon numarasıyla tek adımda silinmesi, kayıtların dışa aktarılması).
• Kurumla işbirliği: Kişisel Verileri Koruma Kurulu'nun veya yetkili makamların talepleri hâlinde, mevzuatın izin verdiği ölçüde Veri Sorumlusunu bilgilendirir ve işbirliği yapar.

5. Teknik ve idari tedbirler

• Tüm iletişimin HTTPS/TLS ile şifrelenmesi ve tarayıcıya yalnızca güvenli bağlantı kullanmasının bildirilmesi (HSTS),
• Her veritabanı sorgusunun yalnızca ilgili işletmenin kayıtlarıyla sınırlandırılması (işletmeler arası veri ayrımı); şube kullanıcılarının yalnızca yetkili şubeleri ve işlemleri görebilmesi,
• Şifrelerin bcrypt ile, platform bağlantı anahtarlarının şifrelenerek saklanması,
• Hatalı giriş denemelerinin sınırlandırılması, kayıt/giriş ekranlarının robotlara karşı korunması, güvenli oturum çerezleri ve giriş sonrası oturum yenileme,
• Parametreli sorgular, çıktı kaçışlama, sahte istek (CSRF) koruması, köken kontrolü ve imzalı/anahtarlı dış bildirimler,
• Ayar, kayıt ve kütüphane dosyalarının web erişimine kapatılması; hata ayrıntılarının ziyaretçiye gösterilmemesi,
• Teknik kayıtlarda müşteri adı, telefon, adres ve konum bilgilerinin maskelenmesi,
• Yönetim paneline iki aşamalı doğrulama ile erişilmesi; yetkili erişim ve destek oturumlarının kaydı,
• Düzenli yedekleme ve saklama sürelerinin otomatik uygulanması,
• Güvenlik yapılandırmasının ve yazılım bağımlılıklarının düzenli olarak gözden geçirilmesi.

6. Alt veri işleyenler

Veri Sorumlusu, Zabiris'in hizmeti sunmak için aşağıdaki alt veri işleyenleri kullanmasına genel izin verir:

Zabiris, alt veri işleyenlere bu sözleşmedekilerle esasen aynı veri koruma yükümlülüklerini yükleyen koşullarla çalışır ve onların işlemlerinden Veri Sorumlusuna karşı sorumludur. Yeni bir alt veri işleyen eklemeden önce bu listeyi günceller ve Veri Sorumlusuna panel veya e-posta yoluyla bildirir; Veri Sorumlusu haklı bir gerekçeyle itiraz ederse taraflar çözüm arar, çözülemezse Veri Sorumlusu sözleşmeyi feshedebilir.

Yemek platformları (Trendyol Go, Yemeksepeti, Migros Yemek, Getir) Zabiris'in alt veri işleyeni değildir; Veri Sorumlusunun kendi iş ortaklarıdır ve verileri kendi koşullarıyla işler. Kids'te veliye WhatsApp mesajı, işletmenin kendi cihazındaki WhatsApp üzerinden işletme tarafından gönderilir.

7. Yurt dışına aktarım

Sunucuların ve bazı alt veri işleyenlerin yurt dışında bulunması nedeniyle veriler yurt dışına aktarılır. Zabiris bu aktarımları KVKK'nın 9. maddesine uygun olarak, Kişisel Verileri Koruma Kurulu'nun ilan ettiği standart sözleşmeler gibi uygun güvenceler sağlanarak gerçekleştirir; aktarım ilgili hizmetin gerektirdiği verilerle sınırlıdır ve şifreli bağlantıyla yapılır.

8. Veri ihlali bildirimi

• Zabiris, Veri Sorumlusunun verilerini etkileyen bir güvenlik ihlalini öğrendiğinde Veri Sorumlusuna gecikmeksizin ve en geç 24 saat içinde, kayıtlı e-posta adresi ve panel üzerinden bildirimde bulunur.
• Bildirimde, o an bilinebildiği ölçüde; ihlalin niteliği, etkilenen veri kategorileri ve yaklaşık kişi sayısı, olası sonuçları ve alınan/önerilen tedbirler yer alır; bilgiler netleştikçe tamamlanır.
• Kurula ve ilgili kişilere bildirim yükümlülüğü (KVKK m.12/5, Kurul kararına göre 72 saat) Veri Sorumlusuna aittir; Zabiris bunun için gereken bilgi ve desteği sağlar.

9. Saklama, iade ve silme

• Zabiris Go: Sipariş veren kişinin adı, telefonu, adresi, adres tarifi, kapı kodu ve sipariş notu sipariş kapandıktan 90 gün sonra; platformdan gelen ham sipariş verisi 60 gün sonra otomatik silinir. Kişisel bilgi içermeyen sipariş kayıtları (ürün, tutar, durum) raporlama için hesap süresince kalır.
• Zabiris Kids: Çocuk adı, veli adı ve telefonu ile notlar, ziyaret/etkinlik tarihinden 2 yıl sonra otomatik anonim hâle getirilir; Veri Sorumlusu dilediği zaman Ayarlar › KVKK bölümünden bir velinin bilgilerini hemen silebilir.
• WhatsApp Bot: Müşteri özeti son yazışmadan 2 yıl sonra silinir; kullanım kayıtlarındaki telefon numarası 90 gün sonra silinir.
• Sözleşme sona erdiğinde: Veri Sorumlusu 30 gün içinde verilerinin dışa aktarılmasını isteyebilir; sürenin sonunda veriler silinir veya anonim hâle getirilir. Yedeklerdeki kopyalar, yedekleme döngüsü içinde kalkar.
• Veri Sorumlusu, mevzuat gereği daha uzun saklaması gereken bilgileri bu süreler dolmadan dışa aktarmakla yükümlüdür.

10. Bilgi ve denetim

Zabiris, bu sözleşmeye uyumu gösteren bilgi ve belgeleri (alınan tedbirlerin açıklaması, alt veri işleyen listesi, saklama uygulamaları) Veri Sorumlusunun yazılı talebi üzerine makul sürede sağlar. Yerinde denetim, en az 30 gün önceden bildirilmek, iş saatleri içinde, diğer müşterilerin verilerinin gizliliğini ve sistem güvenliğini tehlikeye atmamak ve masrafları talep edene ait olmak kaydıyla yılda bir kez yapılabilir.

11. Sorumluluk

Taraflar, KVKK m.12/2 uyarınca veri güvenliğine ilişkin tedbirlerin alınmasından müştereken sorumludur. Taraflar arasındaki iç ilişkide her taraf kendi yükümlülüğünü ihlalinden doğan zarardan sorumludur; sorumluluk sınırları Hizmet Sözleşmesi'nin 11. maddesine tabidir, ancak bu sınır, Zabiris'in bu sözleşmedeki yükümlülüklerini kasten veya ağır kusurla ihlal ettiği hâllerde uygulanmaz.

12. Son hükümler

• Bu sözleşme ile Hizmet Sözleşmesi arasında kişisel verilerin korunmasına ilişkin bir çelişki varsa bu sözleşme uygulanır.
• Değişiklikler Hizmet Sözleşmesi'nin 14. maddesine göre bildirilir ve kabul edilir.
• İletişim: destek@zabiris.com